基于RPKI的域间源地址验证关键技术及部署优化研究

Inter-domain source address validation technology is one of the main technologies to solve the problem of Internet security. The current Internet routing is based on the destination address forwarding, and does not verify the source address. The main reason of many of the security issues of the Internet is the lack of source address validation. In addition, the lack of real source address validation also makes the network behavior difficult to be traced and management, and users can not be accurately audited and network flow can not be measured accurately. The emergence of resource public key infrastructure (RPKI) provides a trusted foundation for solving the security problem of inter-domain level.. The project will use the RPKI as the trust anchor to design inter-domain source address validation protocols and propose the deployment optimization strategies to solve the two key technical problems in the research of the inter domain source address validation: the lack of trust anchor and deployment optimization. The purpose of this project is to propose a feasible inter-domain source address solution which can be deployed on the internet.The main research contents include: source address validation methods based on RPKI, putting forward the guiding strategies and algorithms for incremental deployment, and presenting the dynamic adaptive verify execution policies.

域间源地址验证技术是解决互联网安全问题的主要技术手段之一，当前互联网是基于目的地址转发，对源地址不做验证。而互联网很多安全问题的根源在于源地址缺乏安全可信。此外缺乏真实源地址验证还带来网络行为难以追溯和管理、用户无法精确审计和测量等问题。资源公钥基础设施（RPKI）的出现为域间源地址的安全问题提供了可以依赖的信任基础。. 项目将以RPKI为信任锚点，研究域间源地址验证的方案和协议，并在此基础上提出部署的优化算法及策略。解决目前域间源地址验证技术的研究存在的缺乏信任锚点和缺乏部署优化这两个关键技术难题。旨在提出能够在互联网上大规模部署的切实可行的域间源地址解决方案。. 项目主要研究内容包括：提出基于RPKI的路径式的域间源地址验证方法和基于RPKI的标签式域间源地址验证方法；提出增量部署的指导策略及算法，同时设计动态自适应的验证执行策略及算法。

互联网已渗透到人类社会的各个方面，成为承载世界各国政治、经济、文化、科技、军事等的重要基础设施。然而当前互联网体系结构缺乏真实可信地址机制的重大安全缺陷，不做系统性的源地址验证，使得假冒源地址横行，导致网络攻击等安全事件泛滥，成为当前互联网最重要的安全隐患之一。特别是假冒源地址使得互联网的真实使用者不可追溯，造成互联网的不可信任，成为亟待解决的全球性重大技术挑战。本项目基于前期真实源地址验证技术研究的基础，在IPv6下一代互联网提供的新的技术平台上，面对IPv6新的技术挑战和发展机遇，深入研究IPv6下一代互联网域间真实源地址验证关键技术，并进行了试验验证。项目研究主要围绕域间源地址验证技术中存在的两个关键技术难题开展，它们分别是：缺乏信任锚点和缺乏部署优化。重点开展具有部署激励和优化的域间源地址验证方案，与已有方案的最大不同在于本项研究在设计之初即将支持增量部署作为主要的设计目标之一。项目取得的主要成果包括：1）针对现有的域间源地址验证方案缺乏信任基础的问题，项目使用RPKI作为信任锚点，对现有的标签式和路径式域间源地址验证方案进行改进，分别提出基于RPKI的标签式和路径式域间源地址验证方案；此外，针对现有的源地址验证方案无法可控地进行路径上过滤的问题，项目以RPKI为信任锚点，结合SRv6技术设计了一种全新的域间源地址验证方案。2）针对现有的域间源地址验证方案缺乏部署激励的问题，项目设计了一种高可部署性的兼容多种源地址验证方案的域间源地址真实性保护服务框架，以及相应的服务按需调度机制和统一的评价模型。通过基于真实拓扑的仿真分析，我们发现提出的三种方案均能在有少量服务提供者的环境下实现高部署收益。3）针对RPKI的中心化问题，项目提出基于区块链进行信任基础增强，包括设计了基于区块链的码号资源验证方案、区块链-RPKI互通机制、和去中心化的源地址真实性保护服务框架设计。项目已在CERNET2主干网上部署了区块链节点以及区块链-RPKI互通机制，通过了相关的功能测试。项目的研究成果为真实源地址验证技术的规模部署提出了新的解决思路和方案，对规模应用具有重要意义。本项目研究成果作为主要内容之一的“下一代互联网真实源地址验证体系结构、关键技术与规模化应用”获得2020年电子学会科技进步特等奖。